如何阻止已认证用户通过手动输入URL访问登录页？

自定义反向授权策略 #

你可以自己实现一个授权策略，专门限制已认证用户访问登录页这类不需要重复进入的页面，逻辑很直接：

1. 定义授权要求
   创建一个空的标识类，用来标记这个反向策略：

public class DenyAuthenticatedUserRequirement : IAuthorizationRequirement
{
    // 仅作为策略标识，无需额外属性
}

2. 编写授权处理逻辑
   实现处理类，检查用户认证状态，已认证则拒绝访问：

public class DenyAuthenticatedUserHandler : AuthorizationHandler<DenyAuthenticatedUserRequirement>
{
    protected override Task HandleRequirementAsync(AuthorizationHandlerContext context, DenyAuthenticatedUserRequirement requirement)
    {
        if (context.User.Identity.IsAuthenticated)
        {
            context.Fail(); // 已认证用户，拒绝授权
        }
        else
        {
            context.Succeed(requirement); // 未认证用户，允许访问
        }
        return Task.CompletedTask;
    }
}

3. 注册并应用策略
   在服务配置中注册策略和处理程序，然后在登录页的控制器Action上添加授权特性：

// Program.cs 或 Startup.cs 中注册授权服务
builder.Services.AddAuthorization(options =>
{
    options.AddPolicy("DenyAuthenticatedUsers", policy =>
        policy.Requirements.Add(new DenyAuthenticatedUserRequirement()));
});
builder.Services.AddScoped<IAuthorizationHandler, DenyAuthenticatedUserHandler>();

登录控制器Action配置：

[Authorize(Policy = "DenyAuthenticatedUsers")]
public IActionResult Login()
{
    return View();
}

更轻量化的替代方案 #

如果不想搞完整的授权策略，直接在登录Action里做判断更简单：

public IActionResult Login()
{
    if (User.Identity.IsAuthenticated)
    {
        return RedirectToAction("Index", "Home"); // 已认证则跳转到首页
    }
    return View();
}

关于你的思路补充 #

移除前端登录链接只是前端交互层面的引导，完全不能替代后端的权限校验——任何敏感路由（包括登录页）都必须在后端做状态判断，这是系统安全的基础。你的思路方向没问题，但缺了后端拦截这关键一步，补上上面任意一种方法就能解决手动输入URL跳转的问题。

内容的提问来源于stack exchange，提问作者NitroSage